VPNs · zh-cn · 4 min

By Rorik Vasquez · 2026年11月12日

编辑推荐：ZoogVPN：超强抗墙，访问全球互联网——绕过网络封锁，大陆稳定可用，支付宝、微信付款，无限流量。 立即获取 →

如果你想让家里的所有设备都能稳定地科学上网，那么设置一个旁路由VPN绝对是个好主意。我记得我刚开始研究这个的时候，觉得有点复杂，但一旦你弄明白了，你会发现它比在每个设备上单独安装VPN客户端要方便太多了！简单来说，旁路由VPN就是把VPN功能集成在一个独立的路由器上，然后让家里的其他设备通过这个“VPN路由器”来上网。这样一来，无论你是用手机、平板、电视还是电脑，只要连接到这个路由器的网络，就能自动享受到VPN的便利。而且，对于那些不支持VPN设置的设备（比如某些智能电视或游戏机），旁路由VPN简直是救星！

什么是旁路由VPN？它和普通VPN有什么不同？

首先，我们得搞清楚“旁路由VPN”到底是个什么东西。简单讲，它不是你直接在电脑或手机上安装的VPN软件。想象一下，你有一个主路由器（就是你家上网用的那个），然后你再加一个“副”的路由器，这个副路由器就专门负责连接VPN服务器。你家里的其他设备，比如你的手机、电脑，就连接到这个副路由器（也就是旁路由）的Wi-Fi或者网线，这样它们上网的流量就会通过这个旁路由，再通过VPN连接出去。

为什么选择旁路由VPN？

之所以很多人选择旁路由VPN，主要是因为它有几个特别吸引人的地方：

• 一劳永逸，全屋覆盖： 你只需要在旁路由上设置一次，家里连接到这个旁路由的所有设备，包括那些不支持VPN设置的设备（比如智能电视、游戏机、智能家居设备），都能自动翻墙。再也不用担心手机没连VPN，或者电脑上VPN断开了。
• 省时省力： 省去了在每一个设备上重复安装、设置和连接VPN的麻烦。特别是对于家庭成员多、设备多的情况，这能省下大量时间和精力。
• 设备兼容性强： 很多智能设备本身就不支持安装VPN客户端，旁路由VPN完美解决了这个问题。
• 更稳定的连接： 专门的路由器硬件有时能提供比软件更稳定的VPN连接，尤其是在处理大量设备流量时。
• 灵活性： 你可以根据需要，设置部分设备走VPN，部分设备不走VPN，实现更精细化的网络管理。

旁路由VPN和普通VPN客户端的区别

特点	普通VPN客户端 (手机/电脑APP)	旁路由VPN (独立路由器)
安装位置	直接安装在终端设备上（手机、电脑、平板）	安装在一个独立的路由器上
覆盖范围	仅限安装VPN客户端的设备	连接到旁路由的所有设备
设置复杂性	相对简单，下载APP，选择服务器，连接即可	需要一定的路由器设置知识，刷机或配置VPN客户端
设备兼容性	仅支持安装APP的设备	支持几乎所有带网络接口的设备，包括不支持APP的智能设备
连接稳定性	受设备性能、系统干扰影响可能较大	通常更稳定，硬件Dedicated，不受终端设备系统干扰
流量管理	难以同时管理多设备，或实现部分设备走VPN、部分不走	更易于实现策略路由，精细化管理哪些设备走VPN，哪些不走

准备工作：你需要什么？

在开始设置旁路由VPN之前，你需要准备好以下东西：

1. 一个支持刷机的路由器： 这是关键。不是所有路由器都能刷成旁路由。你需要一个硬件性能尚可、且有第三方固件（如OpenWrt、PandoraBox、LEDE等）支持的路由器。确保它支持VPN客户端功能。
   • 选择建议： 很多用户喜欢选择一些硬件配置不错的路由器，比如基于MT7621、MT7622、IPQ4019、IPQ6000等芯片方案的路由器。如果你刚开始，可以搜索一下“OpenWrt 推荐路由器”或“旁路由 推荐路由器”来找到适合你的型号。
2. 一个可靠的VPN服务提供商： 确保你选择的VPN服务支持OpenVPN或WireGuard协议，并且有提供服务器配置文件（.ovpn 或 .conf）。
   • 注意： 并不是所有的VPN服务都适合用来做旁路由。有些VPN服务可能在固件支持、线路稳定性、速度方面有所欠缺。选择一家提供稳定线路、多种协议支持、并且在中国大陆地区口碑较好的VPN服务商至关重要。
   • 推荐： 如果你正在寻找一个在亚洲地区表现不错的VPN，可以考虑一下 NordVPN 下殺 77%＋3 個月額外服務。它提供了强大的加密技术和全球服务器网络，通常能提供稳定的连接。
3. 稳定的主路由器： 你家原有的宽带路由器，用于连接互联网。
4. 网线： 连接你的主路由和旁路由，以及电脑用于配置。
5. 电脑： 用于下载固件、刷机、配置旁路由。
6. 耐心和一点点技术勇气： 刷机和配置过程可能需要你一点时间和学习，但网上有很多详细的教程，照着做通常都能成功。

第一步：给你的旁路由刷上第三方固件

大多数情况下，你需要给你的新路由器刷上第三方固件，比如 OpenWrt。为什么呢？因为原厂固件通常功能有限，不支持直接运行VPN客户端。OpenWrt是一个功能强大、高度可定制的Linux操作系统，为路由器提供了丰富的插件和配置选项，非常适合用来搭建旁路由VPN。

找到合适的固件

1. 确定你的路由器型号： 仔细查看路由器底部标签或说明书。
2. 访问OpenWrt官网或社区： 在OpenWrt的设备页面（firmwareselector.openwrt.org）搜索你的路由器型号，看是否支持。
3. 下载固件： 如果支持，下载对应型号的稳定版本固件（通常是.bin或.img格式）。请务必下载Factory Image（工厂固件），如果你是从原厂固件刷入的话。如果是从OpenWrt升级到新版本，则下载Sysupgrade Image。

刷机过程（通用步骤，具体请参照你的路由器型号和固件教程）

警告：刷机有风险，操作不当可能导致路由器变砖。请务必仔细阅读并理解你路由器型号的特定刷机教程。 VPN 可以 ⭐ 一直开着 吗？全方位解析（2025版）

1. 连接电脑和路由器： 暂时不要将路由器连接到主路由。用网线将电脑连接到旁路由的LAN口。
2. 进入路由器管理界面： 在电脑浏览器输入路由器的IP地址（通常是192.168.1.1或192.168.0.1），输入用户名和密码登录。
3. 找到固件升级选项： 在管理界面中，找到“系统工具”、“固件升级”或类似的选项。
4. 选择固件文件： 点击“选择文件”或“浏览”，找到你下载好的OpenWrt固件文件。
5. 开始升级： 点击“开始升级”或“提交”。在升级过程中，绝对不要断电或拔网线！
6. 等待重启： 路由器会自动升级并重启。这个过程可能需要几分钟。
7. 连接新固件： 路由器重启后，它的IP地址可能会变成192.168.1.1，并且默认登录地址会是openwrt.org或192.168.1.1。首次登录通常没有密码，或者需要你设置一个。

刷机后的初步配置

1. 修改LAN口IP地址： 为了避免与主路由IP地址冲突，建议将旁路由的LAN口IP地址修改成与主路由同一网段但不同的地址。例如，如果主路由是192.168.1.1，你可以将旁路由LAN口IP改为192.168.1.2。
   • 导航到 网络 -> 接口。
   • 编辑 LAN 接口。
   • 修改 IPv4 地址 为 192.168.1.2 (或你选择的其他可用地址)。
   • 修改 IPv4 网关 为你的主路由器的IP地址（例如 192.168.1.1）。
   • 修改 DNS 服务器 为你的主路由器的IP地址，或者一个公共DNS（如8.8.8.8）。
   • 点击 保存 & 应用。
2. 禁用DHCP服务器（重要）： 旁路由的DHCP服务器应该关闭，由主路由统一分配IP地址，避免IP冲突。
   • 在编辑 LAN 接口页面，找到 DHCP 服务器 部分，勾选 禁用 DHCP。
   • 点击 保存 & 应用。
3. 连接网络：
   • 用网线将主路由器的LAN口连接到旁路由器的WAN口。
   • 电脑通过网线连接到旁路由器的LAN口（或者连接到旁路由的Wi-Fi，如果已经设置了Wi-Fi）。
   • 重新访问旁路由的IP地址（例如 192.168.1.2）来管理。

第二步：安装和配置VPN客户端

在OpenWrt上安装VPN客户端通常有两种主要方式：OpenVPN或WireGuard。WireGuard速度更快，配置也更简单，但不是所有VPN服务都支持。OpenVPN支持范围更广。这里我们主要以OpenVPN为例，WireGuard的原理类似，只是配置文件和安装方式略有不同。

安装OpenVPN客户端

1. 连接到旁路由： 确保你的电脑通过网线或Wi-Fi连接到旁路由器的LAN口。
2. 登录OpenWrt管理界面： 访问旁路由器的IP地址（例如 192.168.1.2）。
3. 更新软件包列表： 导航到 系统 -> 软件包。点击 更新列表。
4. 安装OpenVPN软件包： 在 过滤器 搜索框中输入 openvpn-openssl，然后点击 安装。如果你的VPN服务商推荐WireGuard，可以搜索 wireguard-tools。
5. 安装 LuCI-app-openvpn (可选但推荐)： 为了更方便地通过网页图形界面管理VPN，建议安装LuCI-app-openvpn。在 过滤器 搜索 luci-app-openvpn，然后点击 安装。

配置OpenVPN连接

1. 获取VPN配置文件： 从你的VPN服务提供商官网下载OpenVPN配置文件。通常是一个.ovpn文件。有些服务商可能提供.zip包，解压后里面会有多个.ovpn文件，选择一个离你较近或速度较快的服务器。
2. 导入配置文件：
   • 在OpenWrt管理界面，导航到 VPN -> OpenVPN。
   • 点击 添加新实例。
   • 在 OVSN 配置文件上传 部分，点击 选择文件，上传你下载的.ovpn文件。
   • 给你的VPN连接起一个容易识别的名字（例如 MyVPN）。
   • 点击 上传。
3. 修改配置文件（可能需要）：
   • 上传成功后，可能会在实例列表中看到你的VPN配置。点击右侧的 编辑 按钮。
   • 用户名和密码： 大多数VPN服务需要用户名和密码验证。在配置文件的开头或结尾，找到类似 auth-user-pass 的行。通常情况下，OpenVPN客户端会提示你输入用户名和密码。但对于路由器来说，你需要将它们写入一个文件。
     • 找到 auth-user-pass。如果后面有文件名，则使用那个文件名；如果没有，一般会在同级目录下新建一个名为auth.txt的文件。
     • 在 网络 -> 接口 页面，点击 添加新接口，接口名称可以叫 vpn_auth。
     • 在 协议 中选择 静态地址。
     • IPv4 地址 和 IPv4 网关 留空。
     • 在 防火墙设置 中，为这个接口创建一个新的防火墙区域，命名为 vpn。
     • 保存并应用。
     • 回到 VPN -> OpenVPN 页面，编辑你的VPN实例。在 OpenVPN 配置 部分，找到 auth-user-pass 配置项，将其值设置为你刚才创建的接口的设备路径（例如 /etc/storage/vpn_auth.conf 或者 /tmp/openvpn-auth.txt，具体路径可能因固件和保存位置而异）。
     • 创建认证文件： 如果没有自动生成，你可能需要SSH登录到路由器，然后手动创建一个文本文件，内容是你的VPN用户名和密码，每行一个。例如：

       your_vpn_username
       your_vpn_password
       

       并将这个文件的路径填入 auth-user-pass 配置项。
   • 协议和端口： 检查.ovpn文件中的proto（udp或tcp）和port（通常是1194或其他端口）设置，确保与你的VPN服务商匹配。
4. 保存并应用配置： 修改完成后，点击 保存 & 应用。

启动VPN连接

1. 手动启动： 在 VPN -> OpenVPN 页面，找到你的VPN实例，点击右侧的 启动 按钮（通常是一个绿色的播放图标）。
2. 检查状态： 稍等片刻，查看VPN实例状态。如果显示 已启动 或 Running，并且有分配到的IP地址，说明连接成功。你也可以在 状态 -> OpenVPN 查看更详细的日志。

第三步：配置旁路由的防火墙与路由策略

这是让你的设备真正走VPN的关键一步。我们需要告诉OpenWrt，哪些设备的流量应该通过VPN，哪些应该直接通过主路由出去。这通常通过策略路由（Policy-Based Routing）来实现。

1. 创建VPN防火墙区域

我们已经在安装OpenVPN时创建了一个名为vpn的防火墙区域。确保它存在，并且配置正确。

• 导航到 网络 -> 防火墙。
• 在 区域 标签页，你应该能看到一个名为vpn的区域。
• 输入 策略通常是 接受，输出 策略是 接受。
• 转送 选项：确保LAN区域可以转发到vpn区域。

2. 设置NAT（网络地址转换）

如果你的VPN配置中有NAT选项，或者在OpenWrt的防火墙设置中需要为VPN接口启用NAT，以允许连接到VPN的设备能够正常访问互联网。

• 在 网络 -> 防火墙 -> NAT 区域，确保 masquerading（伪装）选项被启用，并且源区域包含你的vpn区域。

3. 配置策略路由 (Policy-Based Routing)

这是最核心的部分。我们要为希望走VPN的设备指定一个IP地址段，然后让OpenWrt知道，所有发往这个IP段的流量都必须经过VPN。 Windows 11/10 ⭐ 一键搭建 VPN 服务器详细指南

方法一：通过vpn-policy插件 (推荐，更直观)

1. 安装vpn-policy插件：
   • 登录OpenWrt管理界面。
   • 导航到 系统 -> 软件包。
   • 点击 更新列表。
   • 在 过滤器 搜索 luci-app-vpn-policy，然后安装。
2. 配置vpn-policy：
   • 安装完成后，在 VPN 菜单下会多出一个 VPN Policy 选项。
   • 进入 VPN Policy 页面。
   • 在 Interface 下拉菜单中，选择你刚才配置好的VPN实例（例如 MyVPN）。
   • 在 IP Address 字段，输入你想要让其走VPN的设备的IP地址段。最简单的方式是：
     • 指定单个设备IP： 如果你想让某个特定设备的IP（比如192.168.1.100）走VPN，就在这里输入 192.168.1.100/32。
     • 指定一个IP段： 如果你想让某个网段（例如 192.168.1.100 到 192.168.1.150）的设备都走VPN，可以输入 192.168.1.100-192.168.1.150。
     • 给特定设备分配静态IP： 为了方便管理，建议在主路由器的DHCP设置里，为需要走VPN的设备（根据MAC地址）分配一个固定的IP地址。这样你只需要输入这个固定的IP地址就可以了。
   • 规则类型： 通常选择 Destination NAT (DNAT) 或 Marking。Destination NAT 更常用。
   • 添加规则： 点击 Add 或 添加 按钮。
   • 保存并应用： 保存所有更改。

方法二：手动编辑路由表和防火墙规则 (较复杂)

如果你不想安装插件，或者插件不兼容，也可以手动配置。这需要你熟悉Linux命令和OpenWrt的配置方式，通常通过SSH登录路由器进行操作。

1. 标记需要走VPN的流量：
   • 使用 iptables 命令给特定IP地址的流量打上标记。
   • 例如，让IP为 192.168.1.100 的流量打上标记 0x1：

     iptables -t mangle -A PREROUTING -s 192.168.1.100 -j MARK --set-mark 0x1
     

   • 如果使用WireGuard，可能需要使用iptables -t nat -I PREROUTING ...
2. 创建路由规则：
   • 使用 ip rule add 命令，让标记了 0x1 的流量走VPN的路由表。
   • 你需要创建一个新的路由表，并配置它的路由项。
   • 例如，将标记 0x1 的流量导向VPN接口。
3. 确保VPN接口可用： 确认VPN连接启动后，有一个对应的路由表或接口（如 tun0 或 wg0）。

提示： 对于大多数用户来说，强烈推荐使用luci-app-vpn-policy插件，它极大地简化了策略路由的配置过程。

4. 配置DNS转发（可选但推荐）

有时，为了确保DNS查询也走VPN（避免DNS泄露），你需要配置DNS转发。

• 在 网络 -> DHCP/DNS 设置中，确保 解析配置 选择的是 使用DNSMasq为所有接口提供动态IP地址，并且 忽略解析文件 被勾选。
• 在 自定义选项 中，可以添加 no-resolv 选项，并配置 DNS 服务器。
• 或者，在 VPN Policy 中，也可以配置DNS的策略路由。

第四步：连接设备并测试

1. 连接设备： 将你的手机、电脑、电视等设备连接到旁路由器的Wi-Fi或LAN口。
2. 获取IP地址： 确保设备从主路由获取到了IP地址（例如 192.168.1.x）。
3. 测试VPN连接：
   • 在你的设备上打开浏览器，访问一个IP地址查询网站（如 whatismyipaddress.com 或 ipip.net）。
   • 你应该看到显示的IP地址是你VPN服务器的IP地址，而不是你家宽带的真实IP地址。
   • 尝试访问一些在国内无法直接访问的网站，看是否能够正常访问。
   • 如果你配置了策略路由，可以测试你配置了走VPN的设备，以及未配置的设备，看它们的网络表现是否符合预期。
4. 检查速度： VPN连接速度受多种因素影响，包括你的宽带速度、VPN服务器的负载、你与服务器的距离、VPN协议（WireGuard通常比OpenVPN快）等。你可以在连接VPN前后进行测速，比较差异。如果速度过慢，可能需要尝试更换VPN服务器、协议，或者检查路由器硬件性能。

常见问题与故障排除

Q1: 旁路由VPN连接不上，显示错误信息怎么办？

A1: 错误信息是关键。

• 检查VPN配置文件： 确保你上传的.ovpn文件没有损坏，并且是正确的。
• 检查用户名和密码： 确保你在认证文件中输入的VPN用户名和密码是正确的，并且VPN服务账户有效。
• 检查OpenVPN日志： 在OpenWrt管理界面，导航到 状态 -> OpenVPN，查看详细的日志信息。这通常会告诉你错误发生在哪一步，例如认证失败、服务器无法连接等。
• 检查网络连接： 确保旁路由器的WAN口已经从主路由获取到IP地址，并且能够正常访问互联网（拔掉VPN，直接访问外部网站测试）。
• 防火墙规则： 检查防火墙规则是否阻止了VPN连接。

Q2: VPN连接上了，但是我的设备无法上网，显示“无Internet连接”？

A2: 这通常是策略路由或NAT配置的问题。 八云VPN ⭐ 2025 年深度评测：它究竟值不值得你用？

• 检查防火墙转发： 确保LAN区域可以转发到vpn区域。
• 检查NAT设置： 确保旁路由器的防火墙配置中，VPN接口启用了MASQUERADE（伪装）功能，允许内部设备通过VPN访问外部网络。
• 检查vpn-policy配置： 确认你为设备分配的IP地址段正确，并且与你的实际设备IP地址匹配。
• DNS问题： 尝试手动设置设备的DNS服务器为公共DNS（如8.8.8.8），看是否能解决问题。如果可以，说明可能是DNS转发配置有问题。

Q3: VPN速度非常慢，影响正常使用怎么办？

A3: VPN速度慢是常见问题，可以从以下几个方面入手：

• 更换VPN服务器： 尝试连接你VPN服务商提供的其他服务器，尤其是地理位置更近、负载更低的服务器。
• 更换VPN协议： 如果你的VPN服务支持WireGuard，尝试使用WireGuard协议，它通常比OpenVPN速度更快。
• 检查路由器性能： 旁路由器的CPU性能对VPN加密/解密速度有很大影响。如果路由器性能不足，可能会成为瓶颈。
• 检查你的宽带： 确保你的宽带本身速度正常。
• Wi-Fi干扰： 如果你是通过Wi-Fi连接设备，检查Wi-Fi信号强度和信道干扰。

Q4: 我只想让我的电脑走VPN，手机不走，怎么设置？

A4: 这就是策略路由的用武之地。

• 方法一（推荐）： 使用 luci-app-vpn-policy。
  • 在 VPN Policy 页面，找到 IP Address 字段。
  • 给你的电脑分配一个固定的IP地址（例如 192.168.1.100），然后在 IP Address 字段输入 192.168.1.100/32。
  • 确保你的电脑的IP地址设置是自动获取（DHCP），并且在主路由器的DHCP设置中，将这个IP地址与电脑的MAC地址绑定，这样电脑每次都能获得相同的IP。
  • 其他设备（如手机）的流量就不会经过这个规则。
• 方法二（MAC地址绑定）： 某些插件或高级配置允许你直接通过MAC地址来指定设备走VPN，这样IP地址变动也不怕。

Q5: 旁路由VPN断线了，老是需要手动重启，有什么办法解决？

A5: 保持VPN连接稳定是旁路由VPN的关键。

• Keepalive设置： 在OpenVPN的配置文件中，可以添加 keepalive 10 60 这样的设置，让VPN客户端定期发送探测包，保持连接活跃。
• Watchdog或脚本： OpenWrt支持脚本和Watchdog功能。你可以编写一个简单的脚本，定期检查VPN连接状态，如果检测到断线，就自动重启VPN服务。或者利用OpenWrt的Auto-VPN等第三方脚本来监控和自动重连。
• 选择更稳定的VPN协议和服务器： 有些协议（如TCP）比UDP更稳定，但速度可能稍慢。选择一些信誉好、线路稳定的VPN服务商也很重要。
• 检查路由器稳定性： 确保旁路由器的固件版本是稳定的，并且硬件没有问题。

总结

设置旁路由VPN可能需要你花费一些时间和精力去学习，但一旦成功，它将极大地提升你全屋设备的上网体验。记住，选择一个好的VPN服务商和一个支持刷机且性能不错的路由器是成功的基础。按照上面的步骤，一步一步来，遇到问题时多查阅日志和社区教程，相信你也能搭建一个属于自己的稳定旁路由VPN系统。